Czy polskie banki są przygotowane?

Opracowano: wrzesień 1998

90% zarządów polskich banków nie wierzy w możliwość nieuczciwego działania swoich pracowników. 2% dopuszcza do siebie myśl o możliwości popełnienia przez nich błędu.

Patrz też:
Ubezpieczenia ryzyk bankowych w Polsce
Ubezpieczenia ryzyk bankowych
jako element zabezpieczenia w instutucjach finansowych
Ubezpieczenie jako element stosunków
pomiędzy instytucją kredytową, a przedsiębiorstwem

Bank w swojej pracy musi sprostać dwu rodzajom ryzyka. Pierwsze, tzw. spekulatywne, jest to ryzyko wpisane w jego normalną działalność. Może być związane ze zmianą stóp procentowych, niespłaceniem lub wcześniejszą spłatą kredytu, zmianą kursu itd. W najprostszym ujęciu: bank może w tym wypadku stracić - np. jeśli jego dealerzy źle obstawili zmianę kursu, albo też zyskać - jeśli wszystko przebiegnie według planu.

Drugie ryzyko, tzw. czyste, związane jest z możliwością zajścia zdarzeń, które z jednej strony w żaden sposób nie mogą być poddane planowaniu i jednocześnie, na których bank może już tylko stracić. Przykładowo można tutaj wymienić zalanie, pożar, rabunek, wyłudzenie, błąd systemu komputerowego, błąd lub sprzeniewierzenie pracownika. Patrząc na bank z punktu widzenia właściciela lub - szerzej rzecz ujmując - akcjonariuszy do ryzyk czystych zaliczyć trzeba także błędy lub pomyłki w zarządzaniu ze strony rady i zarządu banku.

W przypadku ryzyka spekulatywnego sprawa jest prosta - bank, który nie umie sobie z nim radzić bardzo szybko wypada z rynku. W Polsce banki przeszły dobrą szkołę już na samym początku lat dziewięćdziesiątych. Okres transformacji zmusił zarządy do przyspieszonej nauki i niemal natychmiastowego przestawienia się na zupełnie inne realia działania. Mimo poniesienia pewnych strat przez system bankowy w postaci spektakularnych upadków lub mniej już spektakularnych przejęć - w tej chwili znakomita część banków radzi sobie tutaj już bardzo dobrze, co można ocenić po osiąganych przez nich wynikach.

Przeciwnie rzecz się ma niestety z ryzykiem czystym - w tym wypadku polskie banki nie przeszły jeszcze "szkoły życia". Nie można bowiem za taką uznać choćby ubiegłorocznej powodzi - bezpośrednie straty żadnego z banków pierwszej dwudziestki nie przekroczyły bowiem 5 mln PLN, co w ich bilansach nie jest sumą znaczącą. Na świecie uznaje się nawet, że przy obecnej skali działań poważna powódź bardzo rzadko może zagrozić bezpośrednio (czym innym jest bowiem niemożność spłaty kredytu przez dotkniętych powodzią kredytobiorców) średniemu choćby bankowi. Jeszcze rzadziej może mu zagrozić pojedynczy pożar, czy "zwykła" kradzież.

Zagrozić mu za to może błąd systemu komputerowego lub kradzież dokonana przy jego pomocy, błąd lub nieuczciwość pracownika, fałszywa emisja kart itd. Tego typu szkody w Polsce już były, ale jeszcze nie w skali mogącej zachwiać bankiem. Największa, która ujrzała dotychczas światło dzienne, wyniosła raptem 2,3 mln PLN (bezpośrednio, tj. bez kosztów postępowania, zabezpieczeń, obrony prawnej itp.), co i tak stanowi prawie połowę wymienionej powyżej maksymalnej kwoty strat spowodowanych powodzią. Zabezpieczenia fizyczne, proceduralne, systemy kontroli na razie wystarczają...

W konsekwencji większość zarządów nie zauważa jeszcze tego rodzaju ryzyka. Oczywiście nie wiedzą także jak sobie z tym rodzajem ryzyka radzić i jak w profesjonalny sposób zapobiegać niebezpieczeństwom. Najczęściej jednak nie wiedzą w ogóle, jakie jest w ich bankach rzeczywiste zagrożenie. Tylko kilka banków (w tym zaledwie jeden z pierwszej czwórki) przeprowadziło dotychczas odpowiednie, profesjonalne badania.

Niestety należy przypuszczać, że już niedługo ślepy los lub najpewniej człowiek - poprzez swój błąd lub celowe działanie - zafunduje polskim bankom pierwszą poważną lekcję z czystego ryzyka. Specjaliści zachodni są zgodni, iż po okresie względnego spokoju, nauka może zacząć się w każdej chwili i będzie przynajmniej tak samo lub nawet bardziej bolesna niż na przykład w wypadku złych kredytów. Swoje rachuby opierają oni na doświadczeniach Europy Zachodniej, Stanów Zjednoczonych, a przede wszystkim, na historii wypadków w krajach Ameryki Łacińskiej i Azji Południowo-Wschodniej.

Tak się bowiem składa, że niedocenianie ryzyka czystego, związanego z siłami przyrody, a jeszcze częściej z błędem lub celowym działaniem człowieka, nie jest domeną jedynie polskich banków. Takie zachowanie zarządów zarówno w Polsce, jak i wcześniej w innych rozwijających się krajach, wynika przede wszystkim z naturalnej skłonności do skupienia się na sprawach bieżących, czy maksymalnie średniookresowych. Szczególnie w przypadku gwałtownego rozwoju i szybkich zmian bierze się zwykle pod uwagę scenariusze dobrze znane z własnego doświadczenia lub najwyżej doświadczenia najbliższych sąsiadów. Ryzyko czyste w tych scenariuszach pojawia się zwykle jedynie w najbardziej trywialnej postaci.

Prawie wszyscy więc myślą o pełnym zabezpieczeniu swoich budynków i mienia od zalania, ognia i powodzi, wartości od kradzieży, czy rabunku. Rzadko jednak w tym burzliwym okresie rozwoju banki zabezpieczają się odpowiednio przed takimi ryzykami jak przestępstwa komputerowe, fałszywe dokumenty, nielojalność pracownika.

Cały mechanizm działania banków da się zresztą wyjaśnić na przykładzie "normalnego" człowieka, który po okresie - lepszej lub gorszej, ale "należącej" się - ochrony został wrzucony nagle na głębokie wody odpowiedzialności za samego siebie.

Badania przeprowadzone w Warszawie wskazują, że wśród grupy nabywców nowych samochodów, z których każdy wyposażony był w autoalarm, zaledwie około 3% miało zainstalowane podobne urządzenie w swoim domu lub mieszkaniu. Te same badania wykazały też, że jedynie około 22% właścicieli pojazdów, którzy wykupili Autocasco ubezpiecza również swoje mieszkania, czy domy.

Mechanizm działania jest tutaj oczywisty. Kradzieże, czy wypadki samochodów są bardziej spektakularne i częstsze niż okradanie, czy np. pożary mieszkań. Dla osób instalujących autoalarm lub wykupujących ubezpieczenie ta właśnie bliska i realna perspektywa straty ma pierwszorzędne znaczenie. Najprościej rzecz ujmując: samochód mogą próbować ukraść nam, mieszkanie "obrobią" pewnie gdzieś na osiedlu, a domek stoi daleko od rzeki i na pewno nie będzie zalany. I tylko nieznaczna część ludzi potrafi sobie uświadomić, że mieszkanie, czy dom ma przeważnie znacznie większą wartość niż samochód i właśnie strata w tym miejscu może oznaczać rzeczywiste kłopoty.

Podobnie do czystych ryzyk podchodzą zarządy banków.

Prawie wszyscy ubezpieczają swoje budynki i wyposażenie od ognia choć pewne wskazówki mogą świadczyć jednocześnie o tym, iż w wielu wypadkach jest to raczej nawyk pozostały jeszcze po czasach monopolu jednego towarzystwa niż świadome działanie. Zdarza się bowiem spotkać jeszcze zarządy delegujące gestię ubezpieczeniową na szefów oddziałów lub nawet filii, ubezpieczenia do wartości księgowej netto (choć już na szczęście coraz rzadziej), czy bez uwzględnienia tzw. ryzyk dodatkowych (po powodzi roku 1997 większość banków uzupełniła już chyba swoje polisy).

Prawie wszystkie banki boją się też kradzieży, czy rabunku ubezpieczając zarówno swoje lokale jak i transporty wartości. Jednak już tylko około 10% wierzy, że ktoś może je okraść za pomocą systemu komputerowego, którym się stale posługują. Nota bene we wszystkich znanych mi wypadkach gotówka jest chroniona ubezpieczeniem w 100%, a ewentualne straty powstałe poprzez system komputerowy (fałszywe, bądź niepełne transfery i rozliczenia, błędy oprogramowania lub obsługi, wirusy itp.) jedynie do pewnych, w stosunku do skali operacji banku - śmiesznie niskich, limitów.

Dalej 90% banków jest tak pewnych swoich pracowników oraz swoich procedur i departamentów kontroli wewnętrznej, że nie asekuruje się przed ryzykiem ich nieuczciwości. Pracownicy banków są zresztą w ocenach swoich zarządów nie tylko święci, ale przede wszystkim nieomylni. Tylko 2% banków zdecydowało się na ubezpieczenie od błędu pracownika...

Realne zagrożenia wyglądają niestety zupełnie inaczej niż wyobrażają to sobie bankowcy.

Wystarczy przypomnieć, że bank Barings upadł, bo jeden, jedyny człowiek przekroczył swoje uprawnienia. W tym czasie zresztą nie było jeszcze - nawet na Zachodzie - polisy, która mogłaby pokryć tego typu ryzyko i to na tak wysokie sumy.

Trzeba też wiedzieć, że w żadnym okresie - długiej przecież - historii bankowości straty banków związane ze "zewnętrznymi" kradzieżami, czy rabunkami nie były większe od strat spowodowanych nieuczciwością pracowników (lub ewentualnie właścicieli czego już nie daje się ubezpieczyć...). Od początku lat osiemdziesiątych wciąż rośnie też stosunek strat spowodowanych przez przestępców komputerowych do "zwykłych" włamywaczy. Obecnie to właśnie przestępstwa elektroniczne stanowią znacznie większe zagrożenie dla banków niż tradycyjne metody zdobywania gotówki.

W polskich warunkach i przy stałym zbliżaniu się do standardów zachodnich rzecz ma się bardzo podobnie. Nie mamy jeszcze przykładów strat tak spektakularnych jak Barings, czy przypadek egipskiego oddziału jednego z francuskich banków, gdzie dyrektor generalny udzielił kilku zaprzyjaźnionym firmom kredytów (oczywiście "bezzwrotnych") na blisko 600 mln franków. I my jednak mamy się już czym w tej dziedzinie pochwalić.

I tak na przykład dwu pracowników Biura Maklerskiego jednego z banków pozwoliło sobie na nieuczciwą zmianę danych właścicieli dwu rachunków inwestycyjnych w systemie komputerowym. Umożliwiło im to sprzedaż zdeponowanych na rachunkach akcji oraz podjęcie gotówki w kwocie 880 tys. złotych. Z kolei szeregowy pracownik bydgoskiego oddziału innego banku po serii operacji przetransferował na swoje konto sumę blisko 2,3 mln złotych.

W Poznaniu oraz w Warszawie toczą się procesy związane z zaakceptowaniem i wypłaceniem przez pracownika banku wyraźnie sfałszowanego czeku. Dokładne porównanie czeku z kartą wzoru podpisów i pieczątek powinno było uniemożliwić operację - jednak sprawdzenie nie zostało dokonane lub wykonane zostało nie dość starannie.

Oczywiście "wykazali" się już nie tylko pracownicy polskich banków. W chwili obecnej w jednym z miast toczą się trzy postępowania prokuratorskie w sprawie prób wyłudzenia z różnych banków znacznych kwot (po około milion złotych) na podstawie dobrze sfałszowanych poleceń przelewu. Tylko jedna z trzech prób była nieudana i skończyła się natychmiastowym aresztowaniem podstawionego do odebrania gotówki człowieka. Organizatorów akcji mimo już ponad półrocznego śledztwa nie udało się dotychczas ustalić. Podobne przypadki - z zastosowaniem identycznego schematu działania - zdarzały się zresztą wcześniej i w innych miastach.

Nie tylko przestępstwa mogą jednak narazić banki na poważne straty. W okresie od roku 1995 do 1997 trzykrotnie wzrosła ilość roszczeń z tytułu odpowiedzialności cywilnej deliktowej banków. Są to jak na razie najczęściej sprawy związane ze skutkami upadków klienta na terenie oddziału. Jednak zdarzają się też rzeczy poważniejsze, jak na przykład uszkodzenie kilku samochodów przez oderwaną część elewacji budynku bankowego...

W tym samym okresie wzrosła też ponad dwukrotnie średnia wielkość takiego roszczenia. Nawet w przypadku złamań, czy potłuczeń może ono obecnie dochodzić do 500 tys. PLN jak w przypadku pewnej klientki, która pośliznęła się na źle odśnieżonych schodach przed jednym z warszawskich oddziałów dużego banku. Oczywiście taka wysokość roszczenia nie oznacza, że taka kwota zostanie wypłacona, ale ... pojawiają się już adwokaci, specjalizujący się w tego typu sprawach.

We wszystkich powyższych wypadkach - zarówno kryminalnych, jak i czysto losowych - zarządy dotkniętych zdarzeniem banków zleciły podjęcie działań zapobiegawczych. Jednak ich charakter był raczej miejscowy, łatający odkrytą dziurę, a nie systemowy, pozwalający na globalne podejście do problemów. W przeciwieństwie do ryzyka spekulatywnego, gdzie system zarządzania ryzykiem jest już bardzo istotnym elementem ich działania, polskie banki nie prowadzą w ogóle scentralizowanego, kompleksowego zarządzania ryzykiem czystym. Profesjonalnych risk managerów, prowadzących niezależnie politykę banku w tym właśnie zakresie, można policzyć w Polsce na połowie palców jednej ręki.

Polskie banki nie są przygotowane. Za kilka dni, tygodni, miesięcy, może najwyżej za rok, czy dwa powinna odbyć się przynajmniej w jednym z nich pierwsza poważna lekcja.

Być może testem będzie niedoceniany u nas "błąd" roku 2000. Nawet osoby uświadamiające bankom ten problem zwracają uwagę jedynie na możliwe zamieszanie i spowodowane nim straty oraz roszczenia klientów. A, czy tak trudno sobie wyobrazić programistę, który znając problem w ramach zamieszania "dodatkowo" przesyła część środków na swoje własne konto?

Nie znam przy tym polskiego banku, który w swoim departamencie audytu wewnętrznego ma człowieka śledzącego - pod kątem możliwych defraudacji - kod zarówno pisanych wewnątrz, jak i kupowanych na rynku programów komputerowych. Nie znam też żadnego banku, który tego typu śledzenie zleca niezależnej firmie zewnętrznej.

A przypomnę jeszcze na zakończenie, że mieliśmy już w naszych bankach spektakularne przykłady problemów z systemami komputerowymi, które - przynajmniej oficjalnie - nie przełożyły się na bezpośrednie straty, ale które potrafiły sparaliżować pracę większości oddziałów przynajmniej na parę dni.

Marcin Z. Broda